При заходе на форум, уже второй день, постоянно браузер предупреждает о том, что сайт несет собой угрозу.
В клубе я написал какой текст выдает.

И вот дожились. При заходе в темы  Наши фото и Линки на сайты KIS обезвредил трояны.

обнаружено: троянская программа Trojan-Downloader.JS.Agent.cey    URL: http://utevox.site90.com/f/index.php
обнаружено: троянская программа Exploit.Win32.Pidief.tt    URL: http://utevox.site90.com/f/readme.pdf//data0000




Это сообщение отредактировал(а) Medved - 19.12.2008, 15:54

АААААААААААА
ааааааааааааа
ААААААААААААА
шоделать           
ето же невероятно, ведь у нас идеальный форум!!!  С ним ничего не может никогда случиться   

Medved, А по сабжу, чего ты панику наводиш ? Вирусов никогда не видел ?   

На Наши фото заходил каспер 6.0 для Windows workstations (Дата выпуска сигнатур 18.12.2008) молчит. Страницу обновлял, всё равно тишина.
Согласен, иногда выскакивает при просмотре форума касперовское предупреждение о троянах, но опять таки у меня в опере параллельно открыта туева хуча других вкладок.
Хотелось бы узнать, что скажут владельцы других антивирей? 

Это сообщение отредактировал(а) ТоляМБА - 19.12.2008, 06:39

  Avira вопит.

drweb 4.44.4  молчит /

нод молчит

мне честно говоря не понятны действия администрации. я уже говорил, что у меня аваст рубит js скрипты с форума как заражённые троянами.
реакция оказалась просто удивительна, Вова перенёс тему во флейм, как будто это мне нужно

по факту замечено, что разные ативиры не обладают одной базой вирусов. поэтому советую установить доп.защиту

все сразу?

А вы не думаете что это кто то через подпись что то подгружает? Картинки вот смотрю у многих разные стоят, всякие фишки типа "бросил курить и теперь у меня стоит". Давайте точно вычислять источники.

Так вроде же в той теме к тому и пришли. И кстати-таки dixis.ru - тоже были счётчики для бросивших курить (не только nomac.ru).

у меня кстати, аваст хватался за js скрипты написанные судя по всему Сергеем

  аналогично. Возможно это ложные в связи с тем что появился схожий по структуре вирь.

Надо решать эту проблему. Так как сайт в данный момент относится к разряду неблагонадежных.

Зачем отпугивать посетителей.

Я лично за то, чтобы запретить навороченные подписи. Только утяжеляют страницу и отвлекают. Пусть подписи будут только текстовыми. Или все не текстовые подписи отправлять сначала на проверку админам.

Можно сделать голосование насчёт этих подписей

Ну тогда и аватары тоже надо отменить.

0_o

Мне Опера выкидывает сообщение о просроченом сертификате на эти картинки... нод молчит. Картинки есть у Смартова и у Майка.

У меня вчера вечером кидались на Винграде какие-то сообщения о каком то сертификате... Сегодня вроде бы все как всегда. 

Кстати, предлагаю еще убрать все стили, смайлы и сделать форум текстовым 

Это скорее всего у кого-то в подписи ссылка на что-то или же аватарка грузится откуда-то. На самом форуме вирусов никаких нет. Касперский также молчит. Советую писать в антивирусные лабораторией и заявлять о ложной тревоге. Пусть правят свои базы.

Участника который мог что-то внести в подпись или аватарку надо выявлять. Это очень просто. Те у кого антивир вопит. должны указывать ссылки на страницы форуме, где выскакивает предупреждение.

Добавлено @ 14:51
Тему я переименовал, т.к. название не соответствует действительности. 

  Avire отправил.

Пришел ответ от лаборатории авиры. В лаборатории утверждают что оба скрипта являются вредоносными

http://files.vingrad.ru/sergej.z/vgal/html...ad_style/gal.js
http://files.vingrad.ru/sergej.z/vgal/html...tyle/fotossz.js

Чего дальше делать неясно, может в них пару букав поменять чтобы не детектились?

Сохранил оба файла на диск, проверил каспером (версию и дату сигнатур см. выше) - "Опасных объектов не обнаружено" 

Dr web и Касперский говорят что все чисто. Скорее всего так и есть, но тем не менее гугл детектит как вредоносный скрипт и авира тоже.

Добавлено через 3 минуты и 57 секунд

...

Это сообщение отредактировал(а) Samotnik - 19.12.2008, 17:06

Alexeis, 

OMG! Еще бы! Кто бы мне сказал, что в конце обоих скриптов делают строки


Это тоже функционал Винграда?!

Добавлено через 3 минуты и 10 секунд
На мою подпись никаким сертификатом ругаться не может, т.к. у меня запрос картинки по http а не https. Если заметите, что ругается на мою картинку чем-то - пишите мне. Разберусь и уберу

Добавлено через 6 минут и 34 секунды
Alexeis, а где ты взял эти скрипты?

Добавлено через 9 минут и 9 секунд
bars80080, 

Какие именно?

smartov, мне они тоже показались подозрительными. Имена как-будто специально измены чтобы сигнатурный поиск антивируса не мог задетектить. Может все таки вирь? Авира сейчас на первых позициях, у нее самые частые обновления, кроме того скорее всего тут поработала эвристика. Из лаборатории написали что они добавят новые сигнатуры для правильного детектирования этих вирусов.

Alexeis, к гадалке ходить не надо ,мне даже лень смотреть результат выполнения, уверен что там используется какая-то уязвимость.
Откуда эти скрипты?

smartov, зайди в наши фото в тему sergejz и сам их получишь.

Добавлено через 1 минуту и 51 секунду
вот тут в первый раз описали их появление http://forum.vingrad.ru/forum/topic-240719...rgej/index.html

На выполнение это строка отправляет вот этот javascript код


Добавлено @ 17:42
По этому адресу, как уже зарепортили, сидит троян

Добавлено @ 17:45
Эти скрипты подключаются на этой странице (НЕ ЗАХОДИТЕ!)

Добавлено через 4 минуты и 29 секунд

Кто мне скажет куда этот троян прописывается и что он делает?

Судя по тому, что было по ссылке атакующий сайт пытается использовать уязвимость в Adobe Acrobat (reader?)

Добавлено через 25 секунд
Сайт походу запоминает IP жертвы, и страница жертве выдается только 1 раз

smartov, сертификат запрашивает у Майка. Твоя картинка молчит, но раньше вроде бы то же просила.

Вот его модификации на viruslist
Модификации "cey" там нет, но общий смысл работы остается тот же

Добавлено через 2 минуты и 39 секунд

Захожу на Майка - тишина. А у тебя?

спасибо!


А у меня:



Это сообщение отредактировал(а) Str!pe - 19.12.2008, 18:01

по всей видимости сайт был сломан 13 декабря. Я уже удалил скрипты. так что теперь на форуме всё ок.

Добавлено через 23 секунды
Не Винград, а винградовский FTP

Появляется окошко с надписью 

sergejzr, надо хоть форумчанам дать знать об этом... многие его не задетектили. А эта гадость подгружает на машину что то... ладно если из зараженного компа только проксю сделают...

Str!pe, 
UniBomb, с Майком уже увидел. Firefox даже не спрашивает - прсто режет. Действительно у него там https в одной картинке

Добавлено через 4 минуты и 47 секунд
Послал Майку письмо в просьбой поменять. 

как раз эти самые два.

сейчас снова словил запрос https здесь:
http://forum.vingrad.ru/index.php?showtopi...t&p=1733728
в наличии всего четыре участника AntonSaburov, VSergeyV, Sun, December, 

Это видимо связано с тем, что кто-то из модераторов подхватил вирус, который спер у него хранящийся на компе ФТП-пароль к вспомогательному серверу files.vingrad.ru
Вот там вот и пошерстил вирус слегка заразив некоторые расположенные там файлы.

Значит надо вводит персональные политики безопасности.
Цель которых - обеспечение сохранности административных данных от посягательства злоумышленников.

1. Отказаться от общего пароля. 
2. Ввести персональные пароли на каждого члена администрации, имеющих доступ к административным данным.
3. Деактивировать персональные пароли, после того, как член администрации ее покинул.
4. Тщательно следить за соблюдением этих политик.

Добавлено через 4 минуты и 11 секунд
При таком раскладе можно будет и отследить источник заражения

Это сообщение отредактировал(а) Medved - 19.12.2008, 22:16